撸站靠运气-10分钟内撸下某外贸仿牌网站过程记录

admin   ·   发表于 2018-3-21   ·   公众号文章


日常撸站系列

做为一个业余计算机爱好者,业余“脚本小子”,看到网站的第一反应就是看是什么CMS,有什么漏洞,以及网站流量怎么样等。 今天刚好跟速卖通老师喝了一泡茶,他也尝试FACEBOOK烧钱做仿牌,然后线下走PAYPAL,转换率也不错,20RMB可以烧回来100RMB的利润。 因此让我做了个网站,兼容移动端继续给他玩。 此时此刻,刚好老农家里的微信群里有人发了个外贸站,回家顺便看看。

目标站

域名 这里替换 affadsense.com 我们打开页面看看机智的我,看了下cookie,大概知道是magento的了恩,日外贸站比较频繁,因此,这个cookie的名称就是magento的。

运气爆表的过程

我们知道,magento的漏洞就那么些,老外也有这些综合的magento安全检测平台,直接走一波。 相关的magent检测平台我比较常用以下二个www.magereport.commagescan.com到了这里,我们大概花了1分钟左右。 根据网站的检测报告,有个泄露的dev/tests/functional/etc/config.xml的配置文件。 一个phpinfo.php ,以及downloader页面可以尝试密码。通过PHPINFO,我们又得知,用的是AMH.SH这个平台。

我们继续

目前脑海里的思路:

  • 扫描压缩包文件
  • 看看有没有弱口令,配合config.xml
  • 看看amh的登陆面板,看看有没有可能进入mysql。

扫描默认压缩包,测试弱口令,花了3分钟左右。期间也找不到端口,因为浏览器安装了对应的插件,直接打开一看就明了,自己也nmap扫了一下,也的确没发现。

回到网站的页面

我们可以发现有个blog的链接,点击进去因为用过这种magento搭配wordpress的模式,知道怎么找真实WP路径。 就是找图片,然后找路径。因此,确定了wp的路径,继续想用爆破或者wpscan扫下漏洞。 耗时大概一分钟不到。

山重水复疑无路,柳暗花明又一村

我们打开WP的路径,运气爆棚的时候到了。直接一个install的安装页面,连数据库的填写都跳过了。然后就是输入你的账号密码,安装进入后台。拿到了Wordpress的shell

看下网站的详情

通过SHELL,我们进入数据库,看下这个站长的IP终于放心了。泉州的,不是莆田了,不会担心这个站长明天提刀来砍我了。 我们进入后台看看订单的数量每日的订单还是不错的,当然,微信群里面的成员也挖出了这个站长的其他相关网站。 这里老农对log_reffer做了个有来路的统计可以得知,这个站长的主要操作还是shell 黑页进行跳转。 有兴趣的朋友,可以根据这个网站,去挖掘一下这个站长的操作,我目前核心不是这块,就不继续研究了。

怎么防护

防护基本很简单,不要有太傻的弱口令,或者一些比较弱智的漏洞,及时更新CMS系统或者环境就行了。

就到这里了

因为是仿牌,老农又是莆田的,因此不继续深入了,也没有后续深入分析流量源,以及订单情况,因为我目前兴趣不是仿牌这块了。 只是圈友好奇,因此做个推送,顺便公众号问下关于速卖通培训的一些事情。码字不易,您的转发和赞赏是我的一大动力之一。 欢迎关注我的公众号,请爱护我,不要抄袭我。欢迎加入我的论坛,与我们一起交流。 下面是加入小密圈/获取论坛邀请码购买渠道: 小密圈(入圈后私信圈主,看到会私信邀请码):其他获取方式: 支付宝:微信支付:

1 Reply   |  Until 2018-3-22 | 542 View

wq8052
发表于 2018-3-22

老农,能分享下用到的ak47的webshell脚本么?

评论列表

  • 加载数据中...

编写评论内容
LoginCan Publish Content

HYBBS © 2016. All Rights Reserved. 老农民

Powered by HYBBS Version 2.2.8